Kötü amaçlı AGENTS.md dosyası Codex'i MALFEX ile bağlantılı npm paketine yönlendirdi

Kötü amaçlı talimat dosyası Codex'i hedefledi

Güvenlik araştırmacıları, kötü amaçlı bir AGENTS.md dosyasının bir kullanıcının İndirilenler klasöründe ortaya çıktığı ve bir yapay zekâ kodlama ajanını kötü amaçlı yazılıma yönlendirmeye çalıştığı bir vakayı belgeledi. Dev.to'da yer alan Hacks.gr raporuna göre dosya, OpenAI'nin Codex'ine yapılandırmasına bir sunucu kaydetmesini ve function-color adlı bir npm paketini kurmasını söylüyordu. Bu paket de MALFEX kötü amaçlı yazılım operasyonuyla ilişkili ek bir program indiriyor.

Rapora göre bu olayda güvenlik araçları girişimi engelledi, ancak yapılan takip testleri, bu tekniğin başarısız olmaktan çok daha sık işe yaradığını gösteriyor.

Saldırı neden işe yarıyor

Araştırmacılara göre bu açığı yaratan iki davranış bir araya geliyor. Birincisi, yapay zekâ kodlama asistanları, başlatıldıkları dizinde bulunan AGENTS.md gibi talimat dosyalarını otomatik olarak meşru geliştirici yönlendirmesi olarak görüyor ve içeriklerine göre hareket ediyor. İkincisi, tarayıcılar kullanıcının açık bir işlem yapmasına gerek kalmadan İndirilenler klasörüne dosya kaydedebiliyor.

Araştırmacılar dosyanın etkilenen makineye tam olarak nasıl ulaştığını belirleyemedi. Bu boşluğu kapatmak için, yalnızca bir siteyi ziyaret etmenin bile böyle bir dosyayı İndirilenler klasörüne yerleştirmek için yeterli olabileceğini gösteren bir tanıtım web sayfası hazırladılar; bu da açığı kullanmayı ve bir sayfa açmak dışında kullanıcı hatasını gerektirmeyen makul bir dağıtım yolunu doğruluyor.

Testlerdeki uyum oranları

Kontrollü bir ortamda Codex, test koşularının yüzde 90'ından fazlasında kötü amaçlı talimatı yerine getirdi. Paralel bir deneyde Claude Code, proje ayarlarına bir web sunucusu adresi eklemeye çalışan benzer bir dosyayla hedeflendi; bu adım bir dijital bağlantı anahtarını ele geçirmek amaçlanıyordu. Bu varyant yaklaşık yarısı kadar başarı sağladı; bunun nedeni büyük ölçüde Claude Code'un bu tür değişikliklerin etkili olabilmesi için kullanıcının onayını gerektirmesi.

Bu karşılaştırma, onay istemlerini bu sınıf saldırılara karşı güvenilir frenlerden biri olarak işaret ediyor; bedeli ise günlük kullanımdaki sürtünme.

Yamanabilir bir hata değil, tasarım davranışı

Raporda adı geçen güvenlik uzmanlarına göre burada OpenAI'nin ya da Anthropic'in düzelteceği teknik bir kusur yok. Her iki araç da çalışma alanlarındaki talimatları tam olarak tasarlandığı gibi izledi; zayıflık, çalışan dizinde yazılı olan her şeyin itaat edilmeyi hak ettiğini varsayan güven modelinin kendisi.

Raporun geliştiricilere yönelik pratik önerileri prosedüreldir:

• Kodlama asistanlarını İndirilenler klasörünün içinde başlatmayın.
• Çalışma alanında sizin oluşturmadığınız talimat dosyalarını inceleyin.
• Ajan ve proje ayarlarında beklenmeyen girdileri kontrol edin.
• Onay istemlerini hız uğruna devre dışı bırakmak yerine etkin tutun.

Neden önemli

Bu olay, kurallar dosyası enjeksiyonunu teorik kategorisinden çıkarıp gözlemlenmiş ve silahlandırılmış bir uygulamaya taşıyor. AGENTS.md ve benzeri talimat dosyaları kodlama ajanları arasında fiili bir standart hâline geliyor; bu da tek bir yerleştirilmiş dosyanın aynı anda birden çok aracı ve ekosistemi hedefleyebileceği anlamına geliyor; ayrıca npm, yük için tanıdık bir kurulum yolu sunuyor.

Saldırı ayrıca ajan, tarayıcı ya da işletim sistemindeki bir güvenlik açığına ihtiyaç duymuyor — yalnızca doğru klasöre düşen bir dosyaya ve ona güvenen bir ajana. Kodlama asistanları kabuk komutları çalıştırma, ayarları değiştirme ve bağımlılıkları özerk biçimde kurma yeteneği kazandıkça, sıradan metin dosyalarının içeriği de saldırı yüzeyinin bir parçası hâline geliyor. Üreticiler çalışma alanı talimatlarını varsayılan olarak güvenilmeyen girdi olarak ele alana kadar yük geliştiricilerin üzerinde: ajanları mümkün olduğunda sandbox'layın, çalıştıkları dizinleri kısıtlayın ve ekip dışından gelen her AGENTS.md dosyasını aksini kanıtlayana kadar düşmanca sayın.